آموزش CrowdSec و Nginx؛ لاگ معتبر، LAPI خصوصی و مسدودسازی قابل‌بازگشت

این دستور فقط هنگام نیاز به لغو اعتبارنامه است؛ بخشی از مسیر موفق عادی نیست.

sudo '/srv/academy-crowdsec/crowdsec-v1.8.1/cmd/crowdsec-cli/cscli' -c '/srv/academy-crowdsec/config/engine.yaml' bouncers delete 'academy_nginx'

پیش از حفاظت سایت واقعی، اجرای سرویس با ناظر، مجوزها، snapshot قابل‌بازیابی و هشدارهای انتشار را بررسی کنید. در محیط ایزوله، لاگ ساختگی با IP عمومی و سناریوی واقعی را replay کنید؛ explain به‌تنهایی تصمیم سناریو نمی‌سازد. acquisition، فیلد پارسر، آستانه، هشدار، profile، اجرای تصمیم و بازیابی مسدودسازی اشتباه باید شواهد جدا داشته باشند.

برای CDN یا پراکسی، دسترسی origin را به شبکه‌های دقیق پراکسی مجاز محدود و set_real_ip_from را فقط برای همان CIDRهای جاری تنظیم کنید. قرارداد هدر بازنویسی‌شده و رفتار real_ip_recursive باید با زنجیرهٔ واقعی تطبیق داشته باشد. اعتماد به همهٔ اینترنت یا متن دلخواه X-Forwarded-For قابل‌دفاع نیست. پیش از فعال‌سازی، اتصال مستقیم و هدر جعلی را امتحان کنید و فقط remote_addr معتبر را لاگ کنید.

این راهنما WAF، وصلهٔ مجازی، کپچا، blocklist جامعه، TLS، LAPI توزیع‌شده، HA یا ماندگاری پس از reboot را فعال نمی‌کند. در دسترس بودن پروژهٔ جامعه تعهد SLA نیست. ترکیب دقیق سیستم‌عامل و بسته‌های مقصد، نگهداری لاگ، وصله و مسیر بازگشت را پیش از انتقال بسنجید.

بررسی عملی با موتور1.8.1، bouncer1.2.3 و Nginx/Lua توزیع Ubuntu24.04 در کانتینر موقت بدون پورت منتشرشده انجام شد. پاسخ HTTP مسدودسازی، رفع مسدودی، انقضا، جدایی هدر جعلی، قطع و بازگشت API، فایل خصوصی و امتناع از بازنویسی بررسی شد. در replay جداگانه،۱۸خط404 ساختگی به تصمیم واقعی سناریوی http-probing رسید و فقط تصمیم همان IP آزمایشی حذف شد. هیچ هدف عمومی یا ثبت CAPI در کار نبود.

نصب خام این راهنما، syslog-logs و dateparse-enrich را پیش از کالکشن Nginx فعال می‌کند؛ اولی مرحلهٔ ورودی non-syslog را هم دارد. نبود این مرحله‌ها می‌تواند لاگ را پردازش‌نشده بگذارد، درحالی‌که ban دستی کار می‌کند. محتوای Hub تغییرپذیر است؛ نسخه‌های واقعی را ثبت و تغییرات ارتقا را بازبینی کنید. مسیرهای سیستم‌عامل مستندند، نه همگی آزموده. سرویس، فایروال، اعتبارنامه و لاگ کاربران تولید دست‌نخورده‌اند. آزمون reboot، HA، TLS عمومی، CAPI، AppSec، کپچا و stream انجام نشده است.